Развертывание Central Node в виде кластера

При развертывании компонента Central Node в виде кластера действуют следующие ограничения:

1. Кластер должен включать минимум 4 сервера: 2 сервера хранения и 2 обрабатывающих сервера. Вы можете масштабировать кластер для увеличения количества обрабатываемого трафика или количества подключенных компьютеров в соответствии с руководством по масштабированию.
2. Кластер является отказоустойчивым, но не высокопроизводительным. Добавление в кластер большего количества обрабатывающих серверов, чем рекомендуется в руководстве по масштабированию, не обеспечивает бесконечный рост количества принимаемой телеметрии и/или обрабатываемого трафика.
3. При выходе из строя некоторых серверов кластера работоспособность кластера восстанавливается только в том случае, если в рабочем состоянии находятся хотя бы два сервера с ролью manager в Docker swarm.
4. Рекомендуется добавлять в кластер серверы с одинаковой аппаратной конфигурацией. В противном случае пропорциональное увеличение производительности не гарантируется.
5. Добавление в кластер дополнительного сервера не ускоряет обработку объектов, которые уже находятся в очереди на проверку.
6. Веб-интерфейс приложения может быть недоступен некоторое время при отказе сервера, на котором он расположен.
7. При отказе обрабатывающего сервера возможна потеря полученных по протоколам ICAP, POP3 и SMTP данных трафика и копий сообщений электронной почты, которые ждут обработки, и обнаружений, связанных с ними.
8. Если для обрабатывающего сервера настроено получение зеркалированного трафика со SPAN-портов, то при выходе из строя этого сервера SPAN-трафик не обрабатывается.
9. Компонент Sensor можно подключить только к обрабатывающему серверу кластера. Для этого сервера должно быть настроено получение зеркалированного трафика со SPAN-портов.

   Вы можете включить получение зеркалированного трафика при установке компонента. Если вы отказались от получения трафика на этапе установки, выполните шаги инструкции ниже.

   Чтобы включить получение зеркалированного трафика со SPAN-портов:

   1. Если Central Node установлен на сервере, войдите в консоль управления этим сервером по протоколу SSH или через терминал.
   2. Если Central Node развернут в виде кластера, войдите в консоль управления любым из обрабатывающих серверов кластера по протоколу SSH или через терминал.
   3. Выполните команду:

      kata-enable-span

   Получение зеркалированного трафика со SPAN-портов будет включено.

10. Возможна временная рассинхронизация данных в базе событий при отказе одного из серверов кластера или временной потере связи между сервером и компонентом Endpoint Agent, подключенным к функциональному блоку KEDR.
11. При изменении конфигурации серверов кластера возможно временное замедление обработки трафика и событий с компьютеров, на которых установлен компонент Endpoint Agent, подключенный к функциональному блоку KEDR.
12. При установке Kaspersky Anti Targeted Attack Platform в виде кластера или при обновлении кластерной конфигурации возможна ситуация, когда не запускается встроенный Sensor (Embedded Sensor).

    В этом случае мы рекомендуем сделать следующее:

    • Если Sensor не подключен, вам нужно удалить его через веб-интерфейс приложения, затем в режиме Technical Support Mode выполнить последовательность команд для запуска Sensor.
      1. kata-sensor-tool reset
      2. kata-sensor-tool reset-core
      3. kata-sensor-tool init-embedded-sensor
    • Если Sensor не запущен, вам нужно в режиме Technical Support Mode выполнить последовательность команд для запуска Sensor.
      1. kata-sensor-tool reset
      2. kata-sensor-tool reset-core
      3. kata-sensor-tool init-embedded-sensor

    Через некоторое время Sensor появится в веб-интерфейсе.

13. Не поддерживается установка Kaspersky Anti Targeted Attack Platform в виде кластера на виртуальных платформах zVirt Node, "РЕД Виртуализация", KVM, VMware ESXi.